工数を掛けずに継続的なアプリの脆弱性診断をTrivyで実現した話 - CARTA TECH BLOG

こんにちは！CARTA COMMUNICATIONS でエンジニアをしている r-ikoma です！ Trivyを導入することで苦労することなく、セキュリティ診断が可能になります！ Webアプリを成長させたい立場の心情としては「開発を効率化させるための便利なライブラリは導入したい。でも、その脆弱性を常に追い続けることに時間は掛けたくない」ところです。 Trivy を導入することでその辺りが楽になります！ Trivy はコンテナイメージ等に対して、導入しているライブラリの既知の脆弱性を発見してくれるスキャナーになります。（例えばhttpリクエストに使用してるaxios に問題が見つかった！など） Amazon ECRとGitHubを利用していればざっくり下記のようなの構成で Trivyの診断が活用できます。 開発者がソースコードをプッシュするとdockerイメージがビルドされ、ECRにプッシ